お客様のデータ保護とセキュリティ確保は、Cohesityにお任せください

セキュアバイデザイン

Cohesityは、セキュアバイデフォルト、セキュアな障害時動作、暗号アルゴリズムのセキュアな実装などを含む (ただし必ずしもこれらに限定されない) 基本的なセキュリティ原則に従います。新機能を開発する際に、目標とするセキュリティ体制、コンプライアンス、製品の認証を確保するため、Cohesityは製品設計を現行のセキュリティベストプラクティスと整合させます。

セキュアな開発

Cohesityの開発チームは、開発ライフサイクルの設計計画の段階において、Product Security (製品セキュリティ) 専門チームと連携します。CohesityのProduct Security (製品セキュリティ) チームは、安全な設計パターンの採用を推奨し、脅威モデリングを行い、該当するセキュリティ基準を定義し、セキュリティ要件を設定します。

セキュリティ保証

Cohesityのプラットフォームとインフラは、定期的にセキュリティテストとハードニングを行い、セキュリティを強化しています。OSやコンポーネントは特別に構成され、CIS (Center for Internet Security、国際インターネットセキュリティ組織) ベンチマークや米国国防総省のSTIG (Security Technical Implementation Guide、セキュリティ技術導入ガイド) 構成基準などのセキュリティハードニング要件を満たしています。

セキュリティ基準とプログラム

Cohesityは、脆弱性管理、セキュアな製品開発ライフサイクル管理、インシデント対応の業界標準フレームワークに準拠しています。

セキュリティトレーニング

Cohesityは開発者、アーキテクト、開発マネージャー、リリースマネージャー、QAエンジニア、プロダクトマネージャーに対して、製品開発ライフサイクルを通じてセキュリティ慣行を取り入れるためのセキュリティトレーニングとリソースを提供しています。Cohesityは製品開発におけるセキュリティのベストプラクティスを網羅したセキュアコーディングトレーニングを四半期ごとに実施し、すべてのエンジニアに受講を義務付けています。

責任ある開示の基準

Cohesityは業界のベストプラクティスに従い、リスクベースのアプローチで製品ライフサイクルを通じて脆弱性を発見、調査し、対処しています。CohesityのProduct Security (製品セキュリティ) 専門チームは、潜在的なセキュリティ脆弱性に関するすべての報告を迅速に調査し、それに対応します。また、Cohesityの製品インシデント対応計画は、製品の脆弱性の分析、緩和、修正をサポートしています。この計画は、第3者である研究者、顧客、またはパートナーから問題が報告された場合の責任ある開示プロセスも対象としています。

問題の報告

お客様、パートナー、および第3者である研究者は、Cohesity Security (Cohesityセキュリティ) にご連絡いただくことにより、Cohesityの製品やサービスに関する脆弱性を報告できます。 

Heliosの管理

お客様のセルフマネージド製品およびサービスの一元的な管理とアナリティクスを行うクラウドベースのHeliosプラットフォームは、お客様が管理できます (Helios管理サービス)。

導入済みのCohesity製品やサービスによって、お客様によるHelios管理サービスの利用は必須またはオプションのいずれかになります。

セキュリティアーキテクチャとテナントの隔離

Heliosのデータ管理環境は、管理サービスとデータサービスが互いに論理的に分離されています。

Cohesity管理型のHeliosサービスはネイティブなマルチテナントで、各テナントは固有の組織として実装されます。組織は論理的に分離され、データ、ポリシー、管理者といった組織のリソースは、それが所属する組織に限定されます。

テナント専用のデータリポジトリにより、お客様のデータは他のお客様から隔離されます。

クラウドインフラ

Cohesityは、Helios管理サービスやCohesity管理型のデータ管理サービスを含むクラウドインフラへの不正アクセスや侵害を防ぐため、ゼロトラストの原則に基づくアクセス制御を導入して論理的セキュリティを確保しています。

顧客認証とアクセス制御

Helios管理サービスは、強力なセキュリティ基準とお客様独自のセキュリティポリシーに従って、ユーザーアカウントとそこに割り当てられたアクセスを管理するための幅広い制御をお客様に提供します。すべてのテナント組織では、管理ユーザーがその組織内の他のユーザーを管理します。組織の管理者はロールベースアクセスコントロール (RBAC) を通じて、ユーザーを追加・管理できます。標準ロールおよびカスタム定義のロールに対するきめ細かい制御により、最小特権と職務分離の原則適用を実現できます。また、テナント管理者は、Helios管理サービスを既存のIDプロバイダーと統合することも可能です。これにより、パスワードポリシーや多要素認証 (MFA) など、各組織独自の認証制御を適用できます。

従業員認証とアクセス制御

Cohesityは、Helios管理サービスへの内部アクセスに極めて制限的なアプローチを維持します。アクセスは、システムを管理・維持する職務上の責任に関連する厳密な必要性に基づいて行われます。Cohesityは、最小特権と職務分離の原則を遵守し、内部アクセス制御と権限制御を適用しています。ユーザーが特定の役割にログインする前に確立された資格基準を満たす必要があり、あらゆる場合において事前に文書による管理者の承認を得る必要があります。Cohesityの全ユーザーには、一意のユーザーIDおよび多要素認証が必要です。

データ隔離

Helios管理サービスでは、各テナントのデータとメタデータは論理的に分離され、他のテナントのものとは隔離されます。Cohesityが管理するデータ管理サービスでは、各テナントに固有のストレージリポジトリが割り当てられ、あるテナントのコンテンツが他のテナントに共有されたりアクセスされたりしないよう保証しています。

データの耐障害性と可用性

Helios管理サービスは、(定期保守や緊急保守のための時間を除く) 99.9% (9が3つ) の可用性を維持します。Heliosデータ管理サービスは、同じAmazon Web Services (AWS) リージョンでそれぞれ何マイルも離れた3つ以上のアベイラビリティゾーンにある、お客様が定義済みのリージョンで、AWS S3サービスを利用しています。AWS S3サービスは、99.999999999% (9が11個) のデータ耐久性を保証しています。災害が発生した場合、Helios管理サービスは、S3に保存されているデータのみを使って、データ管理サービスに保存されているデータを再現できます。

データの暗号化

すべての顧客データ (Helios管理サービスのメタデータとデータ管理サービス自体のデータ) は、強力な業界標準の暗号化アルゴリズムとプロトコルを使用して、保存時および転送中に暗号化されます。

インフラ攻撃防御

Cohesityは、分散型サービス拒否 (DDOS)攻撃、侵入攻撃、マルウェア攻撃に対して、いくつかの対策を実施しています。これらの対策は、Helios環境を管理するために導入した監視インフラに組み込まれています。Cohesityは、ファイアウォールを使って接続を常時監視し、異常を検知しています。異常を検知すると、CohesityはHelios制御プレーン環境への接続をブロックして評価します。Helios制御プレーン環境内のサーバー、コンテナ、インフラは、脆弱性に対して監視され、定期的に修正が行われます。

データセンターのセキュリティ

CohesityのHelios管理サービスおよびデータ管理サービスは、Amazon Web Services (AWS) でホストされています。AWSデータセンターのセキュリティ制御について詳しくは、https://aws.amazon.com/compliance/data-center/controls/をご覧ください。 

ビジネス継続性と災害復旧

Cohesityは、事業運営と災害復旧対応を対象とする事業継続計画を維持します。当社は、事業に対するリスクを定期的に評価し、リスクを許容範囲内に収めるために適切な取り扱い計画を適用しています。この計画は、重要なビジネスプロセスを特定し、ビジネスの中断を引き起こす可能性のある脅威を文書化し、お客様に対するCohesityの義務を確実に果たすために接続性とサポートシステムの復旧に対処するものです。

脆弱性管理

Cohesityは脅威および脆弱性管理プログラムを導入しており、ベンダーが認めた脆弱性や、研究者が報告した脆弱性、脆弱性スキャンや侵入テスト、Cohesityの担当者が特定した社内で発見された脆弱性を継続的に監視しています。脅威は重大度に基づいてランク付けされ、必要に応じた修正のために割り当てられます。

監視とアラート

Heliosは、サービスのセキュリティと可用性について、継続的な監視を実施しています。

監視は各サービスの機能であり、主要なパフォーマンス指標と測定基準が最初から組み込まれています。ダッシュボードと指標は、監視チームと対応チームが追跡します。アラートは開発工程で設計されます。アラートは、クラウド運用チームと開発チームが確認し、本番環境にデプロイしながら閾値を設定し、監視しています。

Information Security (情報セキュリティ) 組織

CohesityのCISOが主導し、Cohesity Security Council (Cohesityセキュリティカウンシル) が監督するCohesity Information Security (Cohesity情報セキュリティ) は、お客様からお預かりした資産はもちろん、Cohesityのシステム、プロセス、データ、社員についても、セキュリティ、安全性、コンプライアンスを確保することを使命とする専門家チームです。

Information Security (情報セキュリティ) ポリシー

CohesityのInformation Security (情報セキュリティ) ポリシーパッケージは、組織、社員、情報資産を対象としています。このポリシーは、業界標準に沿ったもので、セキュリティ組織、資産の利用規則、アクセス制御、情報の分類と取り扱いなどの領域を含みます。ポリシーは、Cohesity Information Security (Cohesity情報セキュリティ) が定期的に見直し、適宜更新します。

セキュリティ認知度トレーニング

Cohesity Information Security (Cohesity情報セキュリティ) は、情報セキュリティのトレーニング要件を確立し、すべての社員がトレーニングを完了して、その責任を理解することを保証する責任があります。新入社員の入社時に情報セキュリティトレーニングを実施し、毎年再トレーニングを義務付けています。トレーニングは、特定のトピックに関する定期的なプレゼンテーション、コミュニケーション、ラーニングセッションで補強されます。例えば、エンジニアリングチームのメンバーはセキュリティの原則やセキュアな開発手法に関する定期的なトレーニングを受けるなど、ビジネスユニットは必要に応じて、それぞれのロールや職責に特化したトレーニングを受けることになります。

サイバーリスク管理

Cohesityはサイバーリスク管理プログラムを活用して、システムインフラ、ネットワーク、エンドポイント、データ、知的財産などのIT資産に対するリスクを特定し、優先順位を付け管理します。Cohesityは、このサイバーリスク管理プログラムを通じて、社内外のサイバーリスク、その発生可能性、潜在的な影響を特定しています。Cohesityは、リスクオーナーと協力し、Cohesityのリスクアペタイトに基づき、リスクの軽減と修正を行います。

ベンダーリスク管理

Cohesityのベンダーリスク管理プログラムでは、サードパーティベンダーのセキュリティ体制をオンボーディング前にレビューし検証してから、確立されたベンダー階層に基づき、フォローアップ評価を実施しています。Cohesityは、Cohesityのセキュリティ体制、お客様との約束、該当する規制要件に沿ったリスク管理プログラムを通じて、ベンダーのセキュリティリスクを管理・監視します。

脅威インテリジェンスと脆弱性管理

Cohesity Information Security (Cohesity情報セキュリティ) は、脆弱性管理プログラムを維持し、制御オーナーと協力して脆弱性を特定して修正し、Cohesityの製品およびインフラへの脅威を軽減しています。また、該当するCohesityの資産に対して侵入テストを実施し、修正に優先順位を付けて、Cohesityのセキュリティ体制を最適化しています。

インシデント対応

Cohesity Information Security (Cohesity情報セキュリティ) は、インシデント管理ポリシーを維持し、対応業務の体制とガイダンスを提供する手順を維持しています。このポリシーのインシデント対応手順は、セキュリティイベントや脆弱性を迅速に検知し、インシデントの特定、評価、封じ込め、緩和、インシデントからのリカバリなど、セキュリティインシデントへの迅速な対応を促進するために、Cohesityの担当者が従うべき手順を定めたものです。

人事セキュリティ

入社時には、身元調査を行います。また、社員は会社の  行動規範、ポリシー、秘密保持契約書を受け取り、承認します。

物理的セキュリティ

Cohesityのオフィスは、警備員やロビー担当者によって物理的に保護されています。バッジによるアクセス制御は、一元的に管理され維持されています。セキュリティで保護されたエリアへのアクセスには、エスカレーションされた権限が必要です。カメラシステムを導入しています。すべての拠点で、24時間365日、入館ゲートと警備員を配置し、カメラと照明システムを採用して、指定された個人のバッジによる入館を義務付けています。CohesityはSOC 2認証を取得しており、ご要望に応じて証明書を提供できます。

プライバシーポリシー

当社のプライバシーポリシーは、 www.cohesity.com/agreementsでご確認いただけます。

処理拠点

Cohesityは、欧州経済地域 (EEA) 外で個人情報を処理することがあります。この処理の例としては、お客様が個人情報をCohesityと共有することを選択した場合の、24時間365日体制のサポートサービスの提供などがあります。このようなデータ転送を可能にするために用いられる法的な仕組みは、 www.cohesity.com/agreementsでご覧いただけるCohesityのデータ処理に関する補遺に詳述されているように、標準契約条項 (SCC) です。

サポート拠点

Cohesityのサポートセンターは現在、米国、アイルランド、インド、カナダ、日本にあります。

国境を越えたデータ転送

国境を越えたデータ転送については、 www.cohesity.com/agreementsにあるデータ処理に関する補遺で詳しく説明しています。

国際規制への準拠

Cohesityは、欧州連合のGDPR (General Data Protection Regulation、一般データ保護規則)、欧州経済領域およびその加盟国ならびにスイスおよび英国の法令、CCPA (California Consumer Privacy Act、カリフォルニア州消費者プライバシー法)、カナダの個人情報保護および電子文書法など、個人情報の処理に関して法律上、Cohesityに該当するすべてのデータ保護法および規制に従って個人情報を処理しています。詳細については、 www.cohesity.com/agreementsでデータ処理に関する補遺をご覧ください。

データ処理契約

Cohesityのデータ処理に関する補遺は、 www.cohesity.com/agreementsをご覧ください。この補遺はHelios SaaSを使用するすべての顧客に自動的に適用され、CohesityのHelios SaaSサービス利用規約 (同じくwww.cohesity.com/agreements参照) にも組み込まれています。 データ処理に関する補遺は他の活動にも適用されるべきだとお客様がお考えの場合は、 Cohesity Legalまでご連絡ください。

SOC 2 Type IIレポート

Cohesity Helios SaaSプラットフォームは、Trustサービス規準のセキュリティ、可用性、機密性に関連する、SOC 2 (Service Organization Controls 2、受託会社の内部統制) Type II監査を毎年受けて、情報セキュリティシステム制御を評価しています。

ISO27001

Cohesityクラウドサービスを支える情報セキュリティ管理システム (ISMS) は、ISO/IEC 27001:2022 認証を取得しています。

HIPAA

Cohesityの製品とサービスは、HIPAA (Health Insurance Portability and Accountability Act、医療保険の相互運用性と説明責任に関する法律) ガイドラインに沿ったセキュリティベンチマークと要件に準拠しています。

貿易協定法準拠

Cohesityは米国貿易協定法 (TAA) に準拠しており、カリフォルニア州サンノゼからハードウェアを出荷しています。Cohesityのホワイトラベルシステムは、TAAに準拠した指定国で製造と組立が行われています。

2019年国防権限法

Cohesityは、2019年国防権限法第889条に準拠しています。

米国国防総省情報ネットワーク承認済み製品リスト

Cohesityプラットフォームは、米国国防総省 (DoD) の機関である国防情報システム局 (DISA) によって、DoD情報ネットワーク (DoDIN) 認定製品リスト (APL) への掲載が承認されています。DoDIN APLは、DoDネットワークにデプロイメントするための厳格なサイバーセキュリティおよび相互運用の認証要件を満たした製品を一元的にリストアップしたものです。

FedRAMP

FedRAMPは、クラウド技術と連邦政府機関に対する標準化されたセキュリティおよびリスク評価手法を提供することにより、連邦政府全体で安全なクラウドサービスの導入を促進する政府全体プログラムです。

Cohesityは、FedRAMP Moderate 認証を取得しています。

GovRAMP

GovRAMPは、IaaS、PaaS、SaaSソリューションを提供するサービスプロバイダー、第三者評価組織、政府関係者で構成される、登録済みの501(c)(6) 非営利会員組織です。2020年に設立されたStateRAMP (通称GovRAMP) は、州政府・地方自治体向けサービスプロバイダーに求められるサイバーセキュリティ基準の標準化が明確に必要であったことから誕生しました。

Cohesityは、GovRAMP認証を取得しています。

ATO (Authorization to Operate、運用の許可)

Cohesityは、米国国防総省 (DoD) 機関、米国エネルギー省 (DOE)、米国情報機関の高度に機密化された各ネットワーク内で自社製品を運用するためのATOを維持しています。DoDのトップシークレットネットワークにデプロイメントするCohesity製品には、STIG (Security Technical Information Guides、セキュリティ技術情報ガイド) が用意されています。

コモンクライテリアEAL2+

Cohesityのプラットフォームは、コモンクライテリアのEAL2+ ALC_FLR.1認定を受けています。コモンクライテリア (Common Criteria for Information Technology Security Evaluation、情報技術セキュリティ評価のためのコモンクライテリア) は、コンピューターセキュリティ認証の国際規格 (ISO/IEC 15408) です。

詳細は、 こちらでご確認ください。

NIST FIPS 140-2暗号化モジュール検証

Cohesityの製品に採用されている暗号モジュールは、NIST (United States National Institute of Standards and Technology、米国国立標準技術研究所) により、FIPS (Federal Information Processing Standards、連邦情報処理規格) 140-2レベル1規格で検証されています。FIPS 140-2は、暗号アルゴリズムのモジュール設計と実装がセキュアかつ正確であることを保証する、米国政府の暗号モジュールに関する規格です。

詳細は、 こちらでご確認ください。

IPv6

Cohesityプラットフォームは、USGv6テストプログラムの一環であるニューハンプシャー大学InterOperability Lab (UNH-IOL) より、USGv6の認定を受けています。

詳細は、 https://www.iol.unh.edu/registry/usgv6-2008?name=cohesityでご確認ください。

SEC規則17a-4(f)、FINRA規則4511(c)、CFTC規則1.31(c)-(d)

Cohesityプラットフォームは、WORM (Write-Once, Read-Many) 機能を内蔵しています。このWORMの実装は、Cohasset Associatesにより、SEC (Securities and Exchange Commission、米国証券取引委員会) 規則17a-4(f)、FINRA (Financial Industry Regulatory Authority、金融業規制機構) 規則4511(c)、CFTC (Commodity Futures Trading Commission、商品先物取引委員会) 規則1.31(c)-(d) に準拠していると評価されています。

詳細は、 こちらでご確認ください。

データ保護に関する補遺

Cohesityは、お客様のGDPRまたはCCPAのコンプライアンスニーズに対応するため、 データ処理に関する補遺 (DPA) を用意しています。

サービス提供企業のリスト

Cohesityは、サービスを提供するために、個人情報の  (副) 処理者 としてサードパーティを利用することがあります。

製品およびサービスに関するドキュメント

Cohesityのドキュメントポータルは、 MyCohesityからアクセスできます。

Helios SaaS Security Brief (Helios SaaSセキュリティ概要)

『 Helios SaaS Security Brief (Helios SaaSセキュリティ概要)』は、Cohesityのドキュメントポータルでご覧いただけます。

DataPlatform Security Whitepaper (DataPlatformセキュリティホワイトぺーパー)

『 DataPlatform Security white paper (DataPlatformセキュリティホワイトぺーパー)』は、Cohesityドキュメントポータルでご覧いただけます。

DataPlatform Security Hardening Guide (DataPlatformセキュリティハードニングガイド)

『 DataPlatform Security Hardening Guide (DataPlatformセキュリティハードニングガイド)』は、Cohesityドキュメントポータルでご覧いただけます。

Cohesity Ransomware Protection – Prepare and Recover (Cohesityランサムウェアからの保護 - 準備と復旧)

『 Cohesity Ransomware Protection – Prepare and Recover (Cohesityランサムウェアからの保護 - 準備と復旧)』ホワイトペーパーは、Cohesityドキュメントポータルでご覧いただけます。

安全ガイド

Cohesityハイパーコンバージドノードに関する安全情報。